Windwos C语言驱动如何获取进程的命令行参数

Windows C语言驱动可以通过调用PsLookupProcessByProcessId函数获取进程的EPROCESS结构体，然后通过EPROCESS结构体中的Peb字段获取进程的PEB结构体，最后通过PEB结构体中的ProcessParameters字段获取进程的命令行参数。具体实现可以参考以下代码：

NTSTATUS GetProcessCommandLine(PUNICODE_STRING pCommandLine, HANDLE hProcessId)
{
    NTSTATUS status = STATUS_SUCCESS;
    PEPROCESS pEprocess = NULL;
    PPEB pPeb = NULL;
    PRTL_USER_PROCESS_PARAMETERS pProcessParameters = NULL;
    KAPC_STATE state;

    // 获取进程EPROCESS结构体
    status = PsLookupProcessByProcessId(hProcessId, &pEprocess);
    if (!NT_SUCCESS(status)) {
        return status;
    }

    // 获取进程PEB结构体
    KeStackAttachProcess((PKPROCESS)pEprocess, &state);
    pPeb = PsGetProcessPeb(pEprocess);
    if (pPeb == NULL) {
        KeUnstackDetachProcess(&state);
        ObDereferenceObject(pEprocess);
        return STATUS_UNSUCCESSFUL;
    }

    // 获取进程命令行参数
    pProcessParameters = pPeb->ProcessParameters;
    if (pProcessParameters == NULL || pProcessParameters->CommandLine.Length == 0) {
        KeUnstackDetachProcess(&state);
        ObDereferenceObject(pEprocess);
        return STATUS_UNSUCCESSFUL;
    }

    // 复制命令行参数到输出参数
    status = RtlUnicodeStringCopy(pCommandLine, &pProcessParameters->CommandLine);
    if (!NT_SUCCESS(status)) {
        KeUnstackDetachProcess(&state);
        ObDereferenceObject(pEprocess);
        return status;
    }

    KeUnstackDetachProcess(&state);
    ObDereferenceObject(pEprocess);

    return STATUS_SUCCESS;
}

调用该函数时，需要传入进程ID和一个UNICODE_STRING类型的输出参数pCommandLine，函数会将进程的命令行参数复制到pCommandLine中。